Comparaison
ISO 27001 vs règle de sécurité HIPAA : un SMSI pour les ePHI
ISO/IEC 27001:2022 · HIPAA Security Rule · données du 2026-10-27
ISO/IEC 27001 est un système de management international et certifiable ; la règle de sécurité HIPAA est une exigence juridique américaine relative à la protection des informations de santé protégées sous forme électronique. Les organisations de santé et leurs prestataires utilisent de plus en plus un SMSI ISO 27001 comme moyen de mettre en œuvre leurs garanties HIPAA, en particulier lorsqu'ils opèrent à l'international.
En partant d'ISO vers HIPAA, presque toutes les normes et spécifications de la règle de sécurité sont en correspondance ou faiblement liées. L'analyse et la gestion des risques, la sécurité des effectifs, le contrôle d'accès, les contrôles d'audit, l'intégrité, la sécurité des transmissions, la planification de continuité et l'accès aux installations ont tous des équivalents à l'Annexe A. Ce qui reste relève essentiellement de dispositions juridiques propres à HIPAA, comme les termes des contrats avec les associés commerciaux et la réutilisation des supports.
En partant de HIPAA vers ISO, il y a davantage à ajouter. HIPAA n'exige pas de système de management, de sorte que les clauses ISO (périmètre, leadership, objectifs, informations documentées, audit interne, revue de direction) sont nouvelles. Il en va de même pour les contrôles de développement sécurisé (cycle de vie de développement sécurisé, codage sécurisé, tests de sécurité), que HIPAA ne traite pas directement.
Si vous êtes certifié ISO 27001, faites figurer explicitement les ePHI dans le périmètre du SMSI et veillez à ce que votre analyse des risques HIPAA reste traçable vers votre évaluation des risques ISO.
Points clés à retenir
- ISO → HIPAA : ajoutez les accords avec les associés commerciaux et la documentation propre à HIPAA.
- HIPAA → ISO :构建 le SMSI autour de votre analyse des risques existante ; ajoutez des contrôles de développement sécurisé si vous développez des logiciels.
- Un certificat ISO n'est pas, à lui seul, une preuve de conformité à HIPAA.
Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →
Avoir ISO 27001 → viser HIPAA
69 exig. 38 mis en correspondance · · 2 sans correspondance Ouvrir dans la vue des écarts →Sur 69 exigences HIPAA Security Rule, 38 correspondent à un élément de ISO 27001, 29 sont seulement faiblement liées et 2 n'ont aucune correspondance dans nos données.
Couvre uniquement la règle de sécurité HIPAA (et non les règles de confidentialité ou de notification de violation).
Travaux probablement nouveaux : exigences HIPAA sans correspondance avec ISO 27001 (2)
| HIPAA | Exigence | Correspondance | ISO 27001 | Preuves |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (29)
| HIPAA | Exigence | Correspondance | ISO 27001 | Preuves |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | A.5.1A.5.19A.5.20+5 | Partage seulement les fonctions CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… : lien indicatif, pas une correspondance | |
| §164.308(a)(3) | Workforce Security | A.5.1A.5.15A.5.19+5 | Partage seulement les fonctions CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… : lien indicatif, pas une correspondance | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | A.5.1A.8.16A.5.14+5 | Partage seulement les fonctions CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… : lien indicatif, pas une correspondance | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | A.5.1A.5.19A.5.20+5 | Partage seulement les fonctions CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… : lien indicatif, pas une correspondance | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | A.5.14A.5.3A.5.15+5 | Partage seulement les fonctions CSF ID.AM-03, PR.AA-05, PR.DS-01, PR.DS-02… : lien indicatif, pas une correspondance | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | A.5.1A.8.16A.5.14+5 | Partage seulement les fonctions CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… : lien indicatif, pas une correspondance | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | A.5.1A.5.15A.5.19+5 | Partage seulement les fonctions CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… : lien indicatif, pas une correspondance | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | A.6.3A.8.15Clause 7.3+5 | Partage seulement les fonctions CSF PR.AT-01, PR.AT-02, DE.AE-03, PR.PS-04 : lien indicatif, pas une correspondance | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | A.6.3Clause 7.3A.5.2 | Partage seulement les fonctions CSF PR.AT-01, PR.AT-02 : lien indicatif, pas une correspondance | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | Clause 6.1.1Clause 6.1.2Clause 6.1.3+5 | Partage seulement les fonctions CSF ID.RA-04, ID.RA-05 : lien indicatif, pas une correspondance | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | A.5.19A.5.22A.5.20+5 | Partage seulement les fonctions CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07… : lien indicatif, pas une correspondance | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A.7.4A.7.12A.8.13+5 | Partage seulement les fonctions CSF DE.CM-02, PR.AA-06, PR.IR-02, PR.DS-11… : lien indicatif, pas une correspondance | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | A.5.1A.5.19A.5.20+5 | Partage seulement les fonctions CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… : lien indicatif, pas une correspondance | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | A.5.15A.8.2Clause 9.1+5 | Partage seulement les fonctions CSF PR.AA-01, PR.AA-05, PR.DS-10, DE.CM-03… : lien indicatif, pas une correspondance | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | A.5.15A.5.16A.5.17+2 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | A.5.3A.5.10A.5.13+5 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| §164.312(e)(1) | Transmission Security | A.5.3A.5.10A.5.13+5 | Partage seulement les fonctions CSF PR.DS-02 : lien indicatif, pas une correspondance | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | A.5.3A.5.10A.5.13+5 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | A.5.19A.5.22A.5.20+5 | Partage seulement les fonctions CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07… : lien indicatif, pas une correspondance | |
| §164.314(a)(2)(ii) | Required Other Arrangements | A.5.19A.5.22A.5.20+5 | Partage seulement les fonctions CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07… : lien indicatif, pas une correspondance | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | A.5.19A.5.22A.5.20+5 | Partage seulement les fonctions CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07… : lien indicatif, pas une correspondance | |
| §164.314(b) | Requirements for Group Health Plans | A.5.19A.5.8A.5.9+5 | Partage seulement les fonctions CSF ID.AM-08, ID.IM-02 : lien indicatif, pas une correspondance | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | Partage seulement les fonctions CSF ID.AM-08, ID.IM-02 : lien indicatif, pas une correspondance | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | Partage seulement les fonctions CSF ID.AM-08, ID.IM-02 : lien indicatif, pas une correspondance | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | A.5.19A.5.22A.5.20+5 | Partage seulement les fonctions CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07… : lien indicatif, pas une correspondance | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | A.5.26A.5.28Clause 7.4+5 | Partage seulement les fonctions CSF RS.CO-02, RS.CO-03, RS.MA-01, RS.MA-02… : lien indicatif, pas une correspondance | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | A.5.19A.5.8A.5.9+5 | Partage seulement les fonctions CSF ID.AM-08, ID.IM-02 : lien indicatif, pas une correspondance | |
| §164.316(b)(2)(i) | Required Time Limit | A.5.9A.5.8A.5.11+5 | Partage seulement les fonctions CSF ID.AM-07, ID.AM-08 : lien indicatif, pas une correspondance | |
| §164.316(b)(2)(ii) | Required Availability | A.5.1A.6.7A.5.19+5 | Partage seulement les fonctions CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03… : lien indicatif, pas une correspondance | |
Mis en correspondance (38)
| HIPAA | Exigence | Correspondance | ISO 27001 | Preuves |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | Correspondance | Clause 6.1.2Clause 6.1.3A.8.8+1 | Même sujet : Évaluation des risques, Gestion des vulnérabilités |
| §164.308(a)(1)(ii)(B) | Required Risk Management | Éditorial | A.8.8Clause 6.1.1Clause 6.1.3+1 | Même sujet : Gestion des vulnérabilités, Gestion des risques (choix de la rédaction) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | Éditorial | A.6.1A.6.4A.8.16 | Même sujet : Menace interne (choix de la rédaction) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | Correspondance | A.5.25A.8.16 | Même sujet : SIEM / SOC, Surveillance continue |
| §164.308(a)(2) | Assigned Security Responsibility | Correspondance | A.5.2A.5.4 | Même sujet : Rôles et responsabilités |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | Correspondance | A.6.1A.6.4A.8.16 | Même sujet : Menace interne |
| §164.308(a)(4) | Information Access Management | Correspondance | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès |
| §164.308(a)(5) | Security Awareness and Training | Correspondance | A.6.3Clause 7.3 | Même sujet : Sensibilisation et formation |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | Correspondance | A.6.3Clause 7.3 | Même sujet : Sensibilisation et formation |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | Éditorial | A.8.1A.8.7A.8.19 | Même sujet : Protection des terminaux (choix de la rédaction) |
| §164.308(a)(6) | Security Incident Procedures | Correspondance | A.5.24A.5.25A.5.26 | Même sujet : Réponse aux incidents |
| §164.308(a)(6)(ii) | Required Response and Reporting | Correspondance | A.5.5A.5.24A.5.25+2 | Même sujet : Notification, Réponse aux incidents |
| §164.308(a)(7) | Contingency Plan | Correspondance | A.5.29A.5.30 | Même sujet : Planification de la reprise |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | Correspondance | A.8.13 | Même sujet : Sauvegarde et restauration |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | Correspondance | A.5.29A.5.30A.8.14 | Même sujet : Planification de la reprise, Reprise après sinistre |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | Correspondance | A.5.29A.5.30A.8.14 | Même sujet : Continuité des activités |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | Éditorial | A.5.30A.8.14 | Même sujet : Reprise après sinistre (choix de la rédaction) |
| §164.308(a)(8) | Evaluation | Correspondance | A.8.8A.5.31A.5.36+1 | Même sujet : Gestion des vulnérabilités, Conformité |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Correspondance | A.5.19A.5.20A.5.22+1 | Même sujet : Gestion des risques fournisseurs |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | Correspondance | A.7.1A.7.2A.7.3+6 | Même sujet : Sécurité physique |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | Éditorial | A.7.1A.7.2A.7.3+6 | Même sujet : Sécurité physique (choix de la rédaction) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | Correspondance | A.7.1A.7.2A.7.3+6 | Même sujet : Sécurité physique |
| §164.310(b) | Workstation Use | Correspondance | A.7.1A.7.2A.7.3+6 | Même sujet : Sécurité physique |
| §164.310(c) | Workstation Security | Correspondance | A.7.1A.7.2A.7.3+6 | Même sujet : Sécurité physique |
| §164.310(d) | Device and Media Controls | Correspondance | A.5.9A.5.11A.7.14+2 | Même sujet : Gestion des actifs |
| §164.310(d)(2)(i) | Required Disposal | Éditorial | A.5.14A.8.10A.8.11 | Même sujet : Protection des données (choix de la rédaction) |
| §164.310(d)(2)(iii) | Addressable Accountability | Correspondance | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | Correspondance | A.8.13 | Même sujet : Sauvegarde et restauration |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | Correspondance | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès |
| §164.312(a)(2)(i) | Required Unique User Identification | Correspondance | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | Correspondance | A.8.24 | Même sujet : Chiffrement |
| §164.312(b) | Audit Controls | Correspondance | A.8.15A.8.17 | Même sujet : Journalisation et audit |
| §164.312(c) | Integrity | Correspondance | A.5.14A.8.10A.8.11 | Même sujet : Protection des données |
| §164.312(d) | Person or Entity Authentication | Éditorial | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| §164.312(e)(2)(ii) | Addressable Encryption | Correspondance | A.8.24 | Même sujet : Chiffrement |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Correspondance | A.5.19A.5.20A.5.22 | Même sujet : Gestion des risques fournisseurs |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | Correspondance | A.5.1A.5.37Clause 5.2 | Même sujet : Politique de gouvernance |
| §164.316(b)(2)(iii) | Required Updates | Correspondance | A.5.1A.5.37Clause 5.2 | Même sujet : Politique de gouvernance |
Avoir HIPAA → viser ISO 27001
123 exig. 58 mis en correspondance · · 19 sans correspondance Ouvrir dans la vue des écarts →Sur 123 exigences ISO/IEC 27001:2022, 58 correspondent à un élément de HIPAA, 46 sont seulement faiblement liées et 19 n'ont aucune correspondance dans nos données.
Travaux probablement nouveaux : exigences ISO 27001 sans correspondance avec HIPAA (19)
| ISO 27001 | Exigence | Correspondance | HIPAA | Preuves |
|---|---|---|---|---|
| A.5 Organizational controls · 1 | ||||
| A.5.35 | Independent review of information security | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| A.8 Technological controls · 4 | ||||
| A.8.25 | Secure development life cycle | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| A.8.28 | Secure coding | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| A.8.29 | Security testing in development and acceptance | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| A.8.31 | Separation of development, test and production environments | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| ISMS clauses 4–10 · 14 | ||||
| Clause 4.1 | Understanding the organization and its context | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Clause 4.3 | Determining the scope of the ISMS | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Clause 4.4 | Information security management system | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Clause 5.1 | Leadership and commitment | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Clause 6.2 | Information security objectives and planning to achieve them | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Clause 6.3 | Planning of changes | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Clause 7.1 | Resources | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Clause 7.5.1 | General | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Clause 7.5.2 | Creating and updating | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Clause 7.5.3 | Control of documented information | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Clause 9.2.1 | General | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Clause 9.2.2 | Internal audit programme | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| Clause 10.2 | Nonconformity and corrective action | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (46)
| ISO 27001 | Exigence | Correspondance | HIPAA | Preuves |
|---|---|---|---|---|
| A.5 Organizational controls · 14 | ||||
| A.5.3 | Segregation of duties | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | Partage seulement les fonctions CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10… : lien indicatif, pas une correspondance | |
| A.5.6 | Contact with special interest groups | §164.308(a)(6)§164.308(a)(1)§164.308(a)(3)+5 | Partage seulement les fonctions CSF GV.OV-01, RS.CO-03 : lien indicatif, pas une correspondance | |
| A.5.7 | Threat intelligence | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+1 | Partage seulement les fonctions CSF DE.AE-07, ID.RA-03, ID.RA-05 : lien indicatif, pas une correspondance | |
| A.5.8 | Information security in project management | §164.308(b)(4)§164.314(a)§164.314(a)(2)(i)+5 | Partage seulement les fonctions CSF GV.OC-05, ID.AM-08 : lien indicatif, pas une correspondance | |
| A.5.10 | Acceptable use of information and other associated assets | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| A.5.12 | Classification of information | §164.308(a)(1)(ii)(B)§164.308(b)(4)§164.316(a)+5 | Partage seulement les fonctions CSF ID.AM-05, ID.AM-08, PR.DS-01 : lien indicatif, pas une correspondance | |
| A.5.13 | Labelling of information | §164.308(b)(4)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | Partage seulement les fonctions CSF ID.AM-08, PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| A.5.17 | Authentication information | §164.310(b)§164.312(a)(2)(i)§164.312(d)+5 | Partage seulement les fonctions CSF PR.AA-03, PR.AA-05 : lien indicatif, pas une correspondance | |
| A.5.21 | Managing information security in the ICT supply chain | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+5 | Partage seulement les fonctions CSF GV.SC-03, GV.SC-09, GV.SC-10 : lien indicatif, pas une correspondance | |
| A.5.27 | Learning from information security incidents | §164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)§164.308(a)(6)+4 | Partage seulement les fonctions CSF ID.IM-03, ID.IM-04, RC.RP-06, RS.AN-03… : lien indicatif, pas une correspondance | |
| A.5.28 | Collection of evidence | §164.308(a)(1)(ii)(D)§164.308(a)(6)(ii)§164.314(a)(2)(i)+4 | Partage seulement les fonctions CSF RC.CO-03, RS.AN-06, RS.AN-07, RS.MA-01… : lien indicatif, pas une correspondance | |
| A.5.32 | Intellectual property rights | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance | |
| A.5.33 | Protection of records | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.5.34 | Privacy and protection of PII | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | Partage seulement les fonctions CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10… : lien indicatif, pas une correspondance | |
| A.6.5 | Responsibilities after termination or change of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | Partage seulement les fonctions CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10… : lien indicatif, pas une correspondance | |
| A.6.6 | Confidentiality or non-disclosure agreements | §164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)§164.308(a)(3)(ii)(C)+5 | Partage seulement les fonctions CSF GV.RR-04 : lien indicatif, pas une correspondance | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | §164.308(a)(7)(ii)(B)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | Partage seulement les fonctions CSF PR.DS-01, PR.IR-02 : lien indicatif, pas une correspondance | |
| A.7.9 | Security of assets off-premises | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.7.10 | Storage media | §164.308(b)(4)§164.308(a)(1)(ii)(B)§164.308(a)(1)(ii)(D)+5 | Partage seulement les fonctions CSF ID.AM-08, PR.DS-01 : lien indicatif, pas une correspondance | |
| A.7.13 | Equipment maintenance | §164.310(a)(2)(ii)§164.308(a)(1)(ii)(B)§164.308(a)(7)+5 | Partage seulement les fonctions CSF ID.AM-08, PR.IR-02 : lien indicatif, pas une correspondance | |
| A.8 Technological controls · 17 | ||||
| A.8.2 | Privileged access rights | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(a)(3)+5 | Partage seulement les fonctions CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10… : lien indicatif, pas une correspondance | |
| A.8.4 | Access to source code | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(b)(1)+5 | Partage seulement les fonctions CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| A.8.5 | Secure authentication | §164.312(a)(2)(i)§164.312(d)§164.308(a)(3)+5 | Partage seulement les fonctions CSF PR.AA-01, PR.AA-03, PR.AA-05 : lien indicatif, pas une correspondance | |
| A.8.6 | Capacity management | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+5 | Partage seulement les fonctions CSF DE.CM-09 : lien indicatif, pas une correspondance | |
| A.8.9 | Configuration management | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| A.8.12 | Data leakage prevention | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.8.18 | Use of privileged utility programs | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)+5 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| A.8.20 | Networks security | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)§164.308(a)(4)(ii)(B)+5 | Partage seulement les fonctions CSF ID.AM-03, PR.IR-01, PR.DS-02 : lien indicatif, pas une correspondance | |
| A.8.21 | Security of network services | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | Partage seulement les fonctions CSF ID.AM-03, PR.IR-01 : lien indicatif, pas une correspondance | |
| A.8.22 | Segregation of networks | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | Partage seulement les fonctions CSF ID.AM-03, PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| A.8.23 | Web filtering | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+4 | Partage seulement les fonctions CSF PR.IR-01 : lien indicatif, pas une correspondance | |
| A.8.26 | Application security requirements | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| A.8.27 | Secure system architecture and engineering principles | §164.308(a)(7)(ii)(D) | Partage seulement les fonctions CSF PR.IR-03 : lien indicatif, pas une correspondance | |
| A.8.30 | Outsourced development | §164.308(a)(8) | Partage seulement les fonctions CSF GV.OV-03 : lien indicatif, pas une correspondance | |
| A.8.32 | Change management | §164.308(a)(8)§164.308(a)(1)(ii)(D) | Partage seulement les fonctions CSF GV.OV-03, ID.RA-07 : lien indicatif, pas une correspondance | |
| A.8.33 | Test information | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.8.34 | Protection of information systems during audit testing | §164.308(a)(8) | Partage seulement les fonctions CSF GV.OV-03 : lien indicatif, pas une correspondance | |
| ISMS clauses 4–10 · 8 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)(2)(ii)+5 | Partage seulement les fonctions CSF GV.SC-05, GV.SC-06, PR.DS-01, PR.DS-02… : lien indicatif, pas une correspondance | |
| Clause 7.2 | Competence | §164.308(a)(2) | Partage seulement les fonctions CSF GV.RR-01, GV.RR-02 : lien indicatif, pas une correspondance | |
| Clause 7.4 | Communication | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)+5 | Partage seulement les fonctions CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03 : lien indicatif, pas une correspondance | |
| Clause 8.1 | Operational planning and control | §164.308(a)(6)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+5 | Partage seulement les fonctions CSF GV.SC-03, RC.RP-04 : lien indicatif, pas une correspondance | |
| Clause 9.3.1 | General | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Partage seulement les fonctions CSF ID.IM-02, PR.PS-01 : lien indicatif, pas une correspondance | |
| Clause 9.3.2 | Management review inputs | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Partage seulement les fonctions CSF ID.IM-02, PR.PS-01 : lien indicatif, pas une correspondance | |
| Clause 9.3.3 | Management review results | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | Partage seulement les fonctions CSF ID.IM-02, PR.PS-01 : lien indicatif, pas une correspondance | |
| Clause 10.1 | Continual improvement | §164.308(a)(6)§164.308(a)(6)(ii) | Partage seulement les fonctions CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.RP-06 : lien indicatif, pas une correspondance | |
Mis en correspondance (58)
| ISO 27001 | Exigence | Correspondance | HIPAA | Preuves |
|---|---|---|---|---|
| A.5 Organizational controls · 22 | ||||
| A.5.1 | Policies for information security | Correspondance | §164.316(a)§164.316(b)(2)(iii) | Même sujet : Politique de gouvernance |
| A.5.2 | Information security roles and responsibilities | Correspondance | §164.308(a)(2) | Même sujet : Rôles et responsabilités |
| A.5.4 | Management responsibilities | Correspondance | §164.308(a)(2) | Même sujet : Rôles et responsabilités |
| A.5.5 | Contact with authorities | Correspondance | §164.308(a)(6)(ii) | Même sujet : Notification |
| A.5.9 | Inventory of information and other associated assets | Correspondance | §164.310(d)§164.310(d)(2)(iii) | Même sujet : Gestion des actifs |
| A.5.11 | Return of assets | Correspondance | §164.310(d)§164.310(d)(2)(iii) | Même sujet : Gestion des actifs |
| A.5.14 | Information transfer | Correspondance | §164.312(c)§164.310(d)(2)(i) | Même sujet : Protection des données |
| A.5.15 | Access control | Correspondance | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Même sujet : Contrôle d'accès |
| A.5.16 | Identity management | Correspondance | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Même sujet : Contrôle d'accès |
| A.5.18 | Access rights | Correspondance | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Même sujet : Contrôle d'accès |
| A.5.19 | Information security in supplier relationships | Correspondance | §164.308(b)(1)§164.314(a) | Même sujet : Gestion des risques fournisseurs |
| A.5.20 | Addressing information security within supplier agreements | Correspondance | §164.308(b)(1)§164.314(a) | Même sujet : Gestion des risques fournisseurs |
| A.5.22 | Monitoring, review and change management of supplier services | Correspondance | §164.308(b)(1)§164.314(a) | Même sujet : Gestion des risques fournisseurs |
| A.5.23 | Information security for use of cloud services | Correspondance | §164.308(b)(1) | Même sujet : Sécurité du cloud |
| A.5.24 | Information security incident management planning and preparation | Correspondance | §164.308(a)(6)§164.308(a)(6)(ii) | Même sujet : Réponse aux incidents |
| A.5.25 | Assessment and decision on information security events | Correspondance | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | Même sujet : SIEM / SOC, Réponse aux incidents |
| A.5.26 | Response to information security incidents | Correspondance | §164.308(a)(6)§164.308(a)(6)(ii) | Même sujet : Réponse aux incidents, Atténuation |
| A.5.29 | Information security during disruption | Correspondance | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C) | Même sujet : Planification de la reprise, Continuité des activités |
| A.5.30 | ICT readiness for business continuity | Correspondance | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+1 | Même sujet : Planification de la reprise, Reprise après sinistre, Continuité des activités |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Éditorial | §164.308(a)(8) | Même sujet : Conformité (choix de la rédaction) |
| A.5.36 | Compliance with policies, rules and standards for information security | Éditorial | §164.308(a)(8) | Même sujet : Conformité (choix de la rédaction) |
| A.5.37 | Documented operating procedures | Correspondance | §164.316(a)§164.316(b)(2)(iii) | Même sujet : Politique de gouvernance |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Correspondance | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Même sujet : Menace interne |
| A.6.3 | Information security awareness, education and training | Correspondance | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Même sujet : Sensibilisation et formation |
| A.6.4 | Disciplinary process | Correspondance | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Même sujet : Menace interne |
| A.6.7 | Remote working | Éditorial | §164.310(d) | Même sujet : Sécurité mobile (choix de la rédaction) |
| A.6.8 | Information security event reporting | Correspondance | §164.308(a)(6)(ii) | Même sujet : Notification |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Correspondance | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Même sujet : Sécurité physique |
| A.7.2 | Physical entry | Correspondance | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Même sujet : Sécurité physique |
| A.7.3 | Securing offices, rooms and facilities | Correspondance | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Même sujet : Sécurité physique |
| A.7.4 | Physical security monitoring | Correspondance | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Même sujet : Sécurité physique |
| A.7.5 | Protecting against physical and environmental threats | Correspondance | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Même sujet : Sécurité physique |
| A.7.6 | Working in secure areas | Correspondance | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Même sujet : Sécurité physique |
| A.7.8 | Equipment siting and protection | Correspondance | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Même sujet : Sécurité physique |
| A.7.11 | Supporting utilities | Correspondance | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Même sujet : Sécurité physique |
| A.7.12 | Cabling security | Correspondance | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | Même sujet : Sécurité physique |
| A.7.14 | Secure disposal or re-use of equipment | Correspondance | §164.310(d)§164.310(d)(2)(iii) | Même sujet : Gestion des actifs |
| A.8 Technological controls · 13 | ||||
| A.8.1 | User endpoint devices | Éditorial | §164.308(a)(5)(ii)(B)§164.310(d) | Même sujet : Protection des terminaux, Sécurité mobile (choix de la rédaction) |
| A.8.3 | Information access restriction | Correspondance | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Même sujet : Contrôle d'accès |
| A.8.7 | Protection against malware | Éditorial | §164.308(a)(5)(ii)(B) | Même sujet : Protection des terminaux (choix de la rédaction) |
| A.8.8 | Management of technical vulnerabilities | Correspondance | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Même sujet : Gestion des vulnérabilités |
| A.8.10 | Information deletion | Correspondance | §164.312(c)§164.310(d)(2)(i) | Même sujet : Protection des données |
| A.8.11 | Data masking | Correspondance | §164.312(c)§164.310(d)(2)(i) | Même sujet : Protection des données |
| A.8.13 | Information backup | Correspondance | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Même sujet : Sauvegarde et restauration |
| A.8.14 | Redundancy of information processing facilities | Correspondance | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | Même sujet : Reprise après sinistre, Continuité des activités |
| A.8.15 | Logging | Correspondance | §164.312(b) | Même sujet : Journalisation et audit |
| A.8.16 | Monitoring activities | Correspondance | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | Même sujet : Surveillance continue, SIEM / SOC, Menace interne |
| A.8.17 | Clock synchronization | Correspondance | §164.312(b) | Même sujet : Journalisation et audit |
| A.8.19 | Installation of software on operational systems | Éditorial | §164.308(a)(5)(ii)(B) | Même sujet : Protection des terminaux (choix de la rédaction) |
| A.8.24 | Use of cryptography | Correspondance | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | Même sujet : Chiffrement |
| ISMS clauses 4–10 · 8 | ||||
| Clause 5.2 | Policy | Correspondance | §164.316(a)§164.316(b)(2)(iii) | Même sujet : Politique de gouvernance |
| Clause 6.1.1 | General | Éditorial | §164.308(a)(1)(ii)(B) | Même sujet : Gestion des risques (choix de la rédaction) |
| Clause 6.1.2 | Information security risk assessment | Correspondance | §164.308(a)(1)(ii)(A) | Même sujet : Évaluation des risques |
| Clause 6.1.3 | Information security risk treatment | Correspondance | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | Même sujet : Évaluation des risques, Gestion des risques |
| Clause 7.3 | Awareness | Correspondance | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Même sujet : Sensibilisation et formation |
| Clause 8.2 | Information security risk assessment | Éditorial | §164.308(a)(1)(ii)(A) | Rédaction ControlMapping : HIPAA's risk analysis is the ISO 27001 risk assessment (6.1.2, 8.2); both NIST crosswalks route it through SP 800-53 RA-3. |
| Clause 8.3 | Information security risk treatment | Éditorial | §164.308(a)(1)(ii)(B) | Rédaction ControlMapping : HIPAA's risk management (reduce risk to a reasonable level) is ISO 27001 risk treatment (6.1.3, 8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Éditorial | §164.308(a)(8) | Même sujet : Conformité (choix de la rédaction) |
Par thème
Les deux couvrent (27) :
Politique de gouvernanceSensibilisation et formationGestion des risquesRôles et responsabilitésConformitéGestion des actifsÉvaluation des risquesGestion des vulnérabilitésContrôle d'accèsChiffrementProtection des donnéesSauvegarde et restaurationProtection des terminauxSécurité mobileSécurité du cloudSurveillance continueJournalisation et auditSIEM / SOCRéponse aux incidentsAtténuationNotificationPlanification de la repriseContinuité des activitésReprise après sinistreMenace interneGestion des risques fournisseursSécurité physique
Seulement ISO 27001 (23) :
Risque lié à la chaîne d'approvisionnementEnvironnement métierClassification des donnéesRenseignement sur les menacesAuthentification multifacteurAccès privilégiésPare-feu / Segmentation réseauGestion des correctifsConfiguration sécuriséeDéveloppement sécuriséSécurité de la messagerieSécurité webZero TrustSécurité DNSWAFDLPDétection d'intrusionDétection d'anomaliesCriminalistique numériqueCommunicationEnseignements tirésCommunication et rétablissementSécurité des API
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.